Si ritiene che il gruppo hacker russo APT29, noto anche come Cozy Bear, si sia infiltrato in diverse agenzie statunitensi, tra cui il Dipartimento di Stato, il Dipartimento di Giustizia e il Pentagono, nonché la NASA e migliaia di aziende in tutto il mondo. Secondo quanto riportato dai media, è stato utilizzato lo stesso vettore di attacco che è stato recentemente utilizzato per hackerare il Società di sicurezza Fireeye violato era. Al canale delle notizie CNN le autorita' hanno confermato l'attacco.
"Possiamo confermare che c'è stata un'effrazione in uno dei nostri uffici. Abbiamo chiesto al CISA e all'FBI di indagare sull'incidente e non possiamo commentare ulteriormente in questo momento".
Dipartimento del Commercio
Il server di aggiornamento distribuisce malware
Secondo un rapporto di Fireeye il malware utilizzato per l'attacco è stato distribuito tramite Cloud server del software di monitoraggio e gestione IT Orion di Solarwinds. Gli hacker hanno integrato il malware in un aggiornamento del software, che è stato poi installato dalle aziende e dalle autorità compromesse.
Diversi aggiornamenti interessati
Secondo Fireeye, l'attacco è iniziato già nella primavera del 2020, con multipli firmati e trojanizzati Aggiornamenti e distribuito tramite i server Solarwinds.
Nel frattempo, Fireeye è stato su GitHub Sono state rilasciate le firme per il malware chiamato Sunburst, che permette a Snort, Yara, IOC e ClamAV di pulire i sistemi infetti.
In un StelParere Solarwinds ha inoltre confermato la diffusione del malware Sunburst attraverso i suoi server di aggiornamento. L'azienda raccomanda a tutti i clienti di aggiornare la loro piattaforma Orion il prima possibile. Secondo il suo Dettagli Solarwinds ha più di 300.000 clienti in tutto il mondo. Tra le possibili vittime dell'hackeraggio vi sono quindi non solo le autorità statunitensi, ma anche aziende come Siemens, AT&T, Cisco, Mastercard e Microsoft.
Di fronte al Washington Post John Scott-Railton ha dichiarato che i danni dell'attacco saranno molto probabilmente enormi. In passato, l'APT29 è stato uno dei gruppi di hacker più aggressivi.
"E' una cosa importante. Date le intrusioni di cui siamo già a conoscenza, mi aspetto che la portata degli attacchi si allarghi man mano che esaminiamo i registri".
John Scott-Railton, Ricercatore di laboratorio per i cittadini
